KOMISJA EUROPEJSKA

Bruksela, dnia 23.7.2026

COM(2026) 384 final

SPRAWOZDANIE KOMISJI DLA PARLAMENTU EUROPEJSKIEGO I RADY

dotyczące pierwszego przeglądu funkcjonowania decyzji stwierdzającej odpowiedni stopień ochrony w Republice Korei

{SWD(2026) 231 final}

SPRAWOZDANIE KOMISJI DLA PARLAMENTU EUROPEJSKIEGO I RADY

dotyczące pierwszego przeglądu funkcjonowania decyzji stwierdzającej odpowiedni stopień ochrony w Republice Korei

1.PIERWSZY PRZEGLĄD – KONTEKST, PRZYGOTOWANIE I PRZEBIEG

17 grudnia 2021 r. na podstawie art. 45 rozporządzenia (UE) 2016/679 (RODO) 1 Komisja Europejska przyjęła decyzję, w której stwierdziła, że Republika Korei zapewnia odpowiedni stopień ochrony danych osobowych przekazywanych z Unii Europejskiej 2 („decyzja stwierdzająca odpowiedni stopień ochrony”). W rezultacie dane z UE można przekazywać podmiotom prywatnym w Republice Korei bez konieczności spełnienia dodatkowych wymogów.

Decyzja Komisji stwierdzająca odpowiedni stopień ochrony obejmuje ustawę o ochronie danych osobowych („PIPA” 3 ) uzupełnioną dodatkowymi zabezpieczeniami określonymi w załączniku I do decyzji stwierdzającej odpowiedni stopień ochrony („przepisy uzupełniające” 4 ). Zabezpieczenia te doprecyzowują stosowanie zasady ograniczenia celu w kontekście danych przekazywanych z UE koreańskiemu administratorowi danych, wprowadzają obowiązki powiadamiania w przypadku, gdy dane osobowe nie są pozyskiwane bezpośrednio od osoby, której dane dotyczą, oraz precyzują warunki, na jakich Komisja Ochrony Danych Osobowych (PIPC) może nakazywać podjęcie działań naprawczych, oraz sposób, w jaki PIPA ma zastosowanie do przetwarzania danych osobowych do celów bezpieczeństwa narodowego. Przepisy uzupełniające są prawnie wiążące dla administratorów danych osobowych w Republice Korei i egzekwowalne zarówno przez PIPC, jak i przez sądy 5 .

Rząd Korei przekazał ponadto Komisji oficjalne oświadczenia, zapewnienia i zobowiązania dotyczące ograniczeń i zabezpieczeń w odniesieniu do dostępu koreańskich organów publicznych do danych osobowych do celów ścigania przestępstw i do celów dotyczących bezpieczeństwa narodowego oraz w odniesieniu do wykorzystania danych osobowych do takich celów przez koreańskie organy publiczne. W dokumentach tych doprecyzowano, że każde tego typu przetwarzanie danych ogranicza się do tego, co jest absolutnie niezbędne do osiągnięcia uzasadnionego celu oraz że ustanowiono skuteczną ochronę prawną przed naruszeniami 6 .

Od czasu przyjęcia decyzji stwierdzającej odpowiedni stopień ochrony UE i Korea, jako partnerzy o zbieżnych poglądach, jeszcze bardziej zacieśniły współpracę w ogólnym zakresie kwestii cyfrowych, a w szczególności w zakresie przepływu danych.

Na szczeblu dwustronnym znajduje to w szczególności odzwierciedlenie w przyjęciu przez Republikę Korei aktu uznania równoważności ochrony w Unii Europejskiej, w którym uznano, że zgodnie z koreańskimi ramami prawnymi UE zapewnia poziom ochrony danych osobowych równoważny poziomowi zapewnianemu w Republice Korei, co umożliwia swobodny przepływ danych osobowych z Republiki Korei do UE. Jest to pierwsze uznanie równoważności przyjęte przez Republikę Korei. Akt ten wszedł w życie 16 września 2025 r. i został ogłoszony w Seulu wspólnie przez komisarza UE Michaela McGratha i byłego przewodniczącego PIPC Haksoo Ko. Uznanie równoważności, które obejmuje sektor publiczny i prywatny, rozciąga się na cały EOG 7 .

Wzajemne stwierdzenie odpowiedniego stopnia ochrony danych osobowych w UE i Korei uzupełnia umowę o wolnym handlu między UE a Republiką Korei z 2011 r. oraz umowę o handlu cyfrowym z dnia 10 marca 2025 r. 8  i zwiększa korzyści płynące z tych umów dla przedsiębiorstw w UE i Republice Korei. Nieograniczony przepływ danych osobowych między tymi dwoma jurysdykcjami dodatkowo ułatwia wymianę handlową i tworzy perspektywy biznesowe dzięki uprzywilejowanemu dostępowi do rynku. Stanowi on również ważny precedens, pokazujący, że rygorystyczne normy ochrony danych i ułatwienia w handlu światowym są nie tylko ze sobą zgodne, lecz także niezbędne w dzisiejszej gospodarce cyfrowej.

W relacjach wielostronnych Republika Korei i UE z powodzeniem współpracowały na forach międzynarodowych, na przykład w ramach Organizacji Współpracy Gospodarczej i Rozwoju (OECD), gdzie ich ścisła współpraca miała zasadnicze znaczenie dla przyjęcia pierwszych w historii międzynarodowych wspólnych zasad rządowego dostępu do danych osobowych znajdujących się w posiadaniu sektora prywatnego 9 . Prace w tym zakresie opierały się na wspólnych wartościach i wymogach leżących u podstaw wzajemnego stwierdzenia odpowiedniego stopnia ochrony danych osobowych w UE i Korei. Ścisła współpraca UE i Korei znajduje również odzwierciedlenie w aktywnym udziale PIPC w utworzonej przez Komisję Europejską 4 marca 2024 r. sieci na rzecz odpowiedniego stopnia ochrony, do której PIPC należy od samego początku 10 .

Aby regularnie sprawdzać, czy ustalenia zawarte w decyzji stwierdzającej odpowiedni stopień ochrony są nadal faktycznie i prawnie uzasadnione, Komisja jest zobowiązana do przeprowadzania okresowego przeglądu i zgłaszania jego wyniku Parlamentowi Europejskiemu i Radzie. Niniejsze sprawozdanie, w którym uwzględniono wszystkie aspekty funkcjonowania decyzji stwierdzającej odpowiedni stopień ochrony, stanowi podsumowanie pierwszego przeglądu okresowego. Ze strony Korei w przeglądzie uczestniczyli przedstawiciele koreańskiego organu ochrony danych (PIPC) oraz Koreańskiej Agencji ds. Internetu i Bezpieczeństwa (KISA). PIPC utrzymywała również regularne kontakty z innymi właściwymi instytucjami koreańskimi w celu przygotowania przeglądu i zebrania uwag. Delegacja UE składała się z czterech przedstawicieli Europejskiej Rady Ochrony Danych (EROD) oraz przedstawicieli Komisji Europejskiej.

17 października 2025 r. odbyło się spotkanie przeglądowe z udziałem obu delegacji, przy czym zarówno przed tym spotkaniem, jak i po jego zakończeniu przeprowadzono szereg wymian informacji. W celu przygotowania przeglądu Komisja zgromadziła informacje pochodzące od koreańskich władz na temat funkcjonowania decyzji, a zwłaszcza wdrożenia przepisów uzupełniających. Komisja zwróciła się również o informacje do odpowiednich zainteresowanych podmiotów oraz korzystała z publicznie dostępnych źródeł. W następstwie spotkania przeglądowego Komisja i PIPC przeprowadziły szereg wymian informacji z myślą o działaniach następczych w kwestiach, które omówiono podczas tego spotkania, w szczególności związanych z niedawnymi zmianami PIPA i wzajemnymi powiązaniami tych zmian z przepisami uzupełniającymi.

2.NAJWAŻNIEJSZE USTALENIA

Szczegółowe ustalenia dotyczące funkcjonowania wszystkich aspektów decyzji stwierdzającej odpowiedni stopień ochrony przedstawiono w dokumencie roboczym służb Komisji (SWD(2026) 231) załączonym do niniejszego sprawozdania.

W wyniku pierwszego przeglądu wykazano w szczególności, że od czasu przyjęcia wzajemnych decyzji stwierdzających odpowiedni stopień ochrony nastąpiło dalsze ujednolicenie unijnych i koreańskich ram ochrony danych. Od tego czasu Republika Korei dwukrotnie zmieniła PIPA: w marcu 2023 r. i w kwietniu 2025 r. 11 PIPC, w ścisłej konsultacji z Komisją, dostosowała przepisy uzupełniające w celu odzwierciedlenia tych zmian.

Zmiany wprowadzone do PIPA w 2023 r. dodatkowo zwiększyły skuteczność koreańskich ram ochrony danych poprzez rozszerzenie ich zakresu, doprecyzowanie kluczowych zasad i wprowadzenie nowych zabezpieczeń. Kluczowym obszarem, w którym nastąpiła poprawa, jest zasada zgodności z prawem, w tym zmienione podstawy prawne przetwarzania danych oraz przejrzystsze przepisy dotyczące sytuacji wymagających uzyskania odrębnej zgody. Przejrzystość zwiększono na dwa kluczowe sposoby: po pierwsze – poprzez wprowadzenie nowych wymogów zobowiązujących administratorów danych do ostrzegania osób, których dane dotyczą, o potencjalnych zagrożeniach dla ochrony danych; po drugie – poprzez nałożenie na państwo i samorządy terytorialne rozszerzonych obowiązków w zakresie wprowadzania środków ochrony danych osobowych dzieci poniżej 14. roku życia i zapewnienia, aby dzieci mogły dobrze zrozumieć skutki przetwarzania ich danych osobowych i prawa przysługujące im jako osobom, których dane dotyczą. Wzmocniono również rozliczalność poprzez wprowadzenie wymogu, aby zagraniczni administratorzy danych wyznaczyli krajowego przedstawiciela w Korei. Ponadto zaostrzono ograniczenia przetwarzania danych pseudonimizowanych, wprowadzono nowe obowiązki niszczenia takich danych, gdy przestają być niezbędne, a także zapewniono większą przejrzystość ich przetwarzania.

Od czasu przyjęcia decyzji stwierdzającej odpowiedni stopień ochrony dodatkowo wzmocniono także prawa osób, których dane dotyczą. W ramach reformy PIPA z 2023 r. wprowadzono nowe mechanizmy ochrony, a także wzmocniono te istniejące, w tym prawo do wycofania zgody, zabezpieczenia przed zautomatyzowanym podejmowaniem decyzji oraz prawo do przenoszenia danych, umożliwiające osobom fizycznym sprawowanie większej kontroli nad ich danymi osobowymi.

Zmiany wprowadzone do PIPA po przyjęciu decyzji stwierdzającej odpowiedni stopień ochrony dodatkowo poprawiły również skuteczność przepisów regulujących międzynarodowe przekazywanie danych poprzez ustanowienie solidniejszych ram zapewniających silniejsze zabezpieczenia ochrony danych osobowych przekazywanych poza Republikę Korei.

Jeżeli chodzi o nadzór i egzekwowanie przepisów, Komisja zauważa, że od czasu przyjęcia decyzji stwierdzającej odpowiedni stopień ochrony PIPC aktywnie egzekwuje przepisy PIPA i podejmuje odpowiednie działania, w tym nałożenie kar pieniężnych na Google i Meta za niezgodne z prawem gromadzenie danych, prowadzenie postępowań w sprawie transgranicznego przekazywania danych przez przedsiębiorstwa takie jak DeepSeek i AliExpress oraz egzekwowanie przepisów dotyczących cyberbezpieczeństwa i naruszeń ochrony danych. PIPC zapewnia również wytyczne regulacyjne, prowadzi kontrole sektorowe oraz angażuje się w działania zwiększające świadomość i we współpracę międzynarodową z organami ochrony danych z UE – w tym z francuską Commission nationale de l’informatique et des libertés (CNIL) i z EROD – w celu dalszego rozwijania ochrony danych w Republice Korei.

Na szczególną uwagę zasługuje fakt, że niektóre z obowiązujących przepisów uzupełniających zawartych w załączniku I do decyzji stwierdzającej odpowiedni stopień ochrony zostały odzwierciedlone w PIPA, dzięki czemu mają one zastosowanie do wszystkich danych osobowych, niezależnie od ich pochodzenia lub miejsca ich gromadzenia. W rezultacie odpowiednie przepisy uzupełniające zostaną uchylone. Dotyczy to w szczególności przepisu uzupełniającego nr 2, który ustanawia ograniczenie dalszego przekazywania danych osobowych, przepisu uzupełniającego nr 4, który dotyczy zakresu stosowania szczególnego odstępstwa od przetwarzania danych pseudonimizowanych, oraz pierwszej części przepisu uzupełniającego nr 5, która umożliwia PIPC przeprowadzanie działań naprawczych. Pozostałe przepisy uzupełniające pozostaną w mocy.

Uchylenie tych konkretnych przepisów uzupełniających jest ważną pozytywną zmianą, ponieważ odzwierciedla większą zbieżność między unijnymi i koreańskimi ramami ochrony danych. Nowe przepisy PIPA ustanawiające bardziej rygorystyczne wymogi dotyczące transgranicznego przekazywania danych oraz doprecyzowujące wyjątki dotyczące przejrzystości i praw indywidualnych w odniesieniu do danych pseudonimizowanych świadczą o zaangażowaniu Korei w dalsze rozwijanie jej ram ochrony danych. Komisja z zadowoleniem przyjmuje także fakt, że PIPC aktywnie egzekwuje nowe przepisy, przyjmuje decyzje i nakłada sankcje w celu zapewnienia zgodności z przepisami dotyczącymi międzynarodowego przekazywania danych i pseudonimizacji dokumentów.

Jeżeli chodzi o dostęp do danych osobowych i ich wykorzystywanie przez organy Republiki Korei, od czasu przyjęcia decyzji stwierdzającej odpowiedni stopień ochrony Korea zmieniła niektóre kluczowe przepisy w celu zwiększenia ochrony danych osobowych, w tym ustawę o działalności telekomunikacyjnej i ustawę o ochronie prywatności komunikacji. W szczególności wprowadzono nowe wymogi dotyczące powiadamiania, środki nadzoru i gwarancje proceduralne. Ponadto PIPC wzmocniła sprawowany przez siebie nadzór i wsparła zasady ochrony danych za pomocą wytycznych dla organów publicznych. Zmiany te świadczą o stałych wysiłkach Korei na rzecz poprawy zabezpieczeń danych osobowych, m.in. w przypadku ich przetwarzania do celów ścigania przestępstw i do celów bezpieczeństwa narodowego.

3.WNIOSKI

Na podstawie ogólnych ustaleń poczynionych w ramach tego pierwszego przeglądu Komisja stwierdza, że Republika Korei nadal zapewnia odpowiedni stopień ochrony danych osobowych przekazywanych z Unii Europejskiej podmiotom w Republice Korei z zastrzeżeniem PIPA wraz dodatkowymi zabezpieczeniami określonymi w przepisach uzupełniających oraz oficjalnymi oświadczeniami, zapewnieniami i zobowiązaniami zawartymi w załączniku II do decyzji stwierdzającej odpowiedni stopień ochrony. W tym kontekście Komisja wyraża uznanie i docenia doskonałą współpracę na etapie prowadzenia przeglądu ze strony władz koreańskich, zwłaszcza ze strony PIPC.

W świetle wyników przeglądu i zgodnie z motywami 219 i 220 decyzji stwierdzającej odpowiedni stopień ochrony Komisja uznaje, że w odniesieniu do przyszłych przeglądów nie jest konieczne utrzymanie trzyletniego cyklu i tym samym można przejść na stosowanie cyklu czteroletniego zgodnie z art. 45 ust. 3 RODO. Komisja skonsultuje się w tej kwestii z komitetem powołanym na podstawie art. 93 ust. 1 RODO 12 .

Jednocześnie umocnienie niektórych aspektów koreańskich ram ochrony danych może przyczynić się do dalszego zwiększenia zabezpieczeń określonych w PIPA i przepisach uzupełniających. W tym celu Komisja przedstawia następujące zalecenia:

1.Komisja zachęca PIPC do przeprowadzania wyrywkowych kontroli w celu zapewnienia zgodności z przepisami uzupełniającymi. Zdaniem Komisji takie kontrole wyrywkowe są istotne, aby zapewnić wykrywanie i eliminowanie (ewentualnych) naruszeń przepisów uzupełniających i zagwarantować skuteczne przestrzeganie tych przepisów.

2.Komisja z zadowoleniem przyjmuje fakt, iż PIPC planuje opublikować zaktualizowane wytyczne dotyczące międzynarodowego przekazywania danych, gdyż dzięki nim przepisy PIPA regulujące tę kwestię będą bardziej dostępne i przyjazne dla użytkowników. Komisja zwraca się do PIPC o doprecyzowanie, że systemy certyfikacji APEC CBPR i CBPR (transgraniczne zasady ochrony prywatności) nie są uznawane za mechanizm przekazywania danych osobowych na mocy PIPA.

3.Jak wspomniano w dokumencie roboczym służb Komisji towarzyszącym niniejszemu sprawozdaniu, ważne jest również, aby na stronie internetowej PIPC w sposób jednoznaczny przedstawiono instrumenty, które są dopuszczalne do celów międzynarodowego przekazywania danych, zarówno w języku angielskim, jak i koreańskim, aby zapewnić jasność w odniesieniu do obowiązujących przepisów.

Przegląd pozwolił również zidentyfikować obszary, w których w przyszłości można by podjąć współpracę. Na przykład, ze względu na rosnące znaczenie klauzul wzorcowych i ich możliwe wykorzystanie jako globalnego narzędzia do przekazywania danych – co przyznano na przykład na forum grupy G-7 i OECD – Komisja wyraziła zainteresowanie przyszłą współpracą z PIPC w celu opracowania takich klauzul.

Komisja będzie nadal ściśle monitorować koreańskie ramy ochrony danych i rzeczywiste praktyki. W tym zakresie Komisja oczekuje dalszej wymiany informacji z władzami koreańskimi w kwestii zmian istotnych w kontekście decyzji, a także dalszego zacieśnienia współpracy na szczeblu międzynarodowym w czasie, w którym istnieje coraz większe zapotrzebowanie na światowe normy dotyczące prywatności i przepływu danych.

(1)

Dz.U. L 119 z 4.5.2016, s. 1 (RODO).

(2)

Dz.U. L 44 z 24.2.2022, s. 1. 

(3)

PIPA zapewnia ogólne ramy prawne ochrony danych w Republice Korei.

(4)

Przepisy szczegółowe wprowadzone przez Koreę w celu zniwelowania pewnych istotnych różnic między PIPA a RODO określonych w załączniku I do decyzji stwierdzającej odpowiedni stopień ochrony (zawiadomienie nr 2021-5).

(5)

Zob. motyw 12 decyzji stwierdzającej odpowiedni stopień ochrony.

(6)

Motywy 144–208 i załącznik II do decyzji.

(7)

Zob. wspólne oświadczenie prasowe komisarza Michaela McGratha i przewodniczącego Haksoo Ko z 16 września 2025 r. w sprawie wejścia w życie koreańskiej decyzji stwierdzającej odpowiedni stopień ochrony w UE – dostępne pod adresem: https://commission.europa.eu/news-and-media/news/joint-press-statement-commissioner-michael-mcgrath-and-chairperson-haksoo-ko-entry-force-korean-2025-09-16_pl .

(8)

  https://ec.europa.eu/commission/presscorner/detail/pl/ip_25_732 .

(9)

Deklaracja OECD z dnia 14 grudnia 2022 r. dotycząca dostępu organów rządowych do danych osobowych znajdujących się w posiadaniu podmiotów sektora prywatnego: https://legalinstruments.oecd.org/en/instruments/OECD-LEGAL-0487 .

(10)

4 marca 2024 r. Komisja była gospodarzem pierwszego w historii posiedzenia wysokiego szczebla poświęconego bezpiecznym przepływom danych, w którym uczestniczyli ministrowie i szefowie organów ochrony danych 15 państw i terytoriów, zapewniających wówczas odpowiedni stopień ochrony, a także przewodniczący Europejskiej Rady Ochrony Danych. Celem posiedzenia było zacieśnienie współpracy w zakresie egzekwowania przepisów o ochronie danych i maksymalizacja bezpiecznych i swobodnych transgranicznych przepływów danych. W międzyczasie odbyły się kolejne spotkania na szczeblu technicznym.

(11)

Zmiany te weszły w życie odpowiednio we wrześniu 2023 r. i w październiku 2025 r.

(12)

Zob. motyw 220 decyzji.